Un passeport scanné. Un selfie de vérification. Une adresse postale, un IBAN, et la liste détaillée de vos achats de bitcoins. Voilà le genre de dossier qui, entre de mauvaises mains, permet d’usurper une identité, de vider un compte ou de faire chanter quelqu’un. C’est précisément ce type d’informations que Revolut reconnaît avoir livré à un tiers non autorisé, lequel s’était contenté de se faire passer pour une administration publique.
La méthode a de quoi glacer : pas de piratage sophistiqué, pas de faille technique exotique. Juste une demande formulée avec les bons codes, l’apparence d’une requête officielle, et le tour est joué. La néobanque britannique aux dizaines de millions d’utilisateurs a ouvert ses coffres à un imposteur.
L’ingénierie sociale, cette faille qui n’a rien de technique
Les banques et plateformes financières reçoivent quotidiennement des demandes légitimes émanant d’autorités judiciaires ou fiscales. Lutte contre le blanchiment, enquêtes pénales, recouvrement : la coopération avec les États fait partie du quotidien du secteur. Un établissement qui refuserait systématiquement de répondre se mettrait hors la loi.
Le problème, c’est qu’entre une vraie réquisition et une fausse, la frontière tient parfois à la qualité d’un en-tête et à l’aplomb de l’expéditeur. Selon les informations rapportées par Cryptoast, c’est exactement ce ressort qui a été exploité contre Revolut. Un acteur malveillant s’est présenté comme une agence gouvernementale et a réclamé des données clients. Revolut a obtempéré.
Ce mode opératoire porte un nom dans le jargon de la cybersécurité : l’attaque par ingénierie sociale. On ne force pas la serrure, on convainc le gardien de l’ouvrir. Et il faut le dire, aucune muraille technologique ne protège contre un humain qui décide de bonne foi de coopérer avec ce qu’il croit être l’État.
Les clients fortunés en ligne de mire
Un détail rend l’affaire particulièrement inquiétante : les personnes visées en priorité semblent avoir été les clients les plus aisés. Ce ciblage n’a rien du hasard. Il trahit une opération préparée, où l’attaquant savait à qui il s’adressait et ce qu’il cherchait.
Pourquoi les gros portefeuilles ? Parce que la valeur des données extraites y est démultipliée. Connaître l’historique de transactions Bitcoin d’un particulier fortuné, c’est savoir combien il détient, où il déplace ses fonds, et potentiellement comment l’atteindre. Dans l’univers des cryptomonnaies, cette information est de l’or. Elle ouvre la porte au phishing ciblé, à l’usurpation d’identité, et dans les cas les plus graves, à des menaces physiques. On ne compte plus les récits d’attaques à domicile visant des détenteurs de crypto identifiés au préalable.
La combinaison passeport + selfie de vérification + preuve de détention d’actifs numériques constitue un kit quasi complet pour se faire passer pour la victime auprès d’autres services. Les procédures de vérification d’identité, censées protéger, deviennent alors une vulnérabilité une fois les documents dérobés.
Un signal d’alarme pour tout un secteur
Revolut n’est pas un acteur marginal. La fintech, valorisée à plusieurs dizaines de milliards de dollars, s’est imposée en quelques années comme l’une des références de la banque mobile en Europe, et son offre crypto a séduit une clientèle nombreuse en France, en Belgique et au-delà. Que ce soit précisément elle qui tombe dans le piège d’une fausse requête officielle en dit long sur la fragilité des procédures internes du secteur.
Car le sujet dépasse largement une seule entreprise. Toutes les plateformes qui collectent des données d’identité au nom de la conformité réglementaire — c’est-à-dire à peu près toutes — sont exposées au même risque. Plus on impose de vérifications d’identité (le fameux KYC, « know your customer »), plus on accumule des bases de données sensibles qui deviennent des cibles de choix. Le paradoxe est cruel : les règles pensées pour sécuriser le système créent des concentrations de données qui, une fois compromises, exposent les utilisateurs bien plus qu’elles ne les protègent.
Pour les lecteurs francophones, y compris au Maghreb où l’usage des néobanques et des cryptomonnaies progresse rapidement, la leçon vaut d’être retenue. Quelques réflexes de bon sens limitent la casse :
- Activer l’authentification à deux facteurs partout où c’est possible, en privilégiant une application dédiée plutôt que le SMS.
- Se méfier de tout message, même officiel en apparence, réclamant une action urgente ou des informations personnelles.
- Répartir ses avoirs, ne pas laisser l’intégralité de ses cryptomonnaies sur une seule plateforme centralisée.
- Surveiller ses relevés et signaler sans attendre toute opération suspecte.
Aucune de ces mesures n’aurait empêché la fuite chez Revolut — elle s’est produite en amont, du côté de l’établissement. Mais elles réduisent la surface d’attaque une fois les données dans la nature.
La confiance, seule vraie monnaie
Une banque, qu’elle soit centenaire ou numérique, ne vend au fond qu’une chose : la certitude que votre argent et vos informations sont en sécurité. Chaque incident de ce type entame ce capital de confiance, et il se reconstitue bien plus lentement qu’il ne se perd.
Reste une question que Revolut devra affronter, comme ses concurrents : comment distinguer une vraie réquisition d’État d’une contrefaçon, sans paralyser une coopération légale par ailleurs obligatoire ? Tant que ce problème restera sans réponse robuste, chaque plateforme détenant vos papiers d’identité et votre historique financier constituera une cible. Et l’attaquant, lui, n’aura besoin que d’un mail bien rédigé.
